DPIA voor HR-AI: wanneer verplicht en hoe combineer je het met de FRIA?

Kort antwoord: Een gegevensbeschermingseffectbeoordeling (DPIA) is op grond van artikel 35 AVG verplicht zodra een HR-AI-toepassing waarschijnlijk een hoog risico voor betrokkenen oplevert — bij grootschalig of systematisch monitoren en bij hoog-risico-AI vrijwel altijd. Voor diezelfde toepassingen schrijft de AI Act in artikel 27 een grondrechtentoets (FRIA) voor. Doe ze niet apart maar als één gecombineerd traject: ze overlappen sterk en leveren samen één onderbouwd dossier op.

Wanneer is een DPIA verplicht?

Artikel 35 AVG verplicht een DPIA bij verwerkingen die "waarschijnlijk een hoog risico" inhouden. In HR is dat snel het geval, met name bij:

• Systematische en uitgebreide beoordeling van persoonlijke aspecten, inclusief profilering, waarop besluiten worden gebaseerd.
• Grootschalige verwerking van bijzondere categorieën gegevens.
• Stelselmatige monitoring van werknemers.

Een AI-systeem dat prestaties scoort, gedrag voorspelt of toegang reguleert, valt vrijwel altijd onder ten minste één van deze criteria.

Wat moet erin?

De DPIA bevat minimaal: een systematische beschrijving van de verwerking en de doeleinden; een beoordeling van noodzaak en proportionaliteit; een beoordeling van de risico's voor de rechten en vrijheden van betrokkenen; en de beoogde maatregelen om die risico's te beheersen. Blijft een hoog restrisico bestaan, dan volgt voorafgaande raadpleging van de toezichthouder (art. 36).

De samenloop met de FRIA

Voor hoog-risico-AI eist artikel 27 AI Act dat bepaalde gebruikers — waaronder publieke instanties en aanbieders van essentiële diensten — vóór ingebruikname een effectbeoordeling voor de grondrechten (FRIA) uitvoeren. Die kijkt breder dan alleen gegevensbescherming: naar non-discriminatie, menselijke waardigheid en andere grondrechten. De AI Act bepaalt uitdrukkelijk dat waar al een DPIA is gedaan, de FRIA daarop voortbouwt. Lees de inhoud van de toets na in de FRIA: grondrechtentoets onder artikel 27.

Eén gecombineerd traject

Omdat DPIA en FRIA dezelfde toepassing, dezelfde risico's en grotendeels dezelfde maatregelen beschrijven, is het inefficiënt en verwarrend om twee losse documenten te maken. Voer één beoordeling uit die beide wettelijke eisen afdekt: de AVG-laag (gegevensbescherming) en de AI Act-laag (grondrechten breder). Stem dit af met de andere hoog-risicoverplichtingen, zodat de beoordeling in de bredere compliance past.

Praktisch stappenplan

1. Bepaal de noodzaak: is dit grootschalig/systematisch monitoren of hoog-risico-AI? Zo ja, DPIA verplicht en mogelijk ook FRIA.
2. Beschrijf de verwerking: gegevens, doelen, AI-logica, betrokkenen, bewaartermijnen.
3. Toets noodzaak en proportionaliteit: is er een minder ingrijpend alternatief?
4. Beoordeel de risico's voor privacy én bredere grondrechten (discriminatie, autonomie).
5. Bepaal maatregelen: menselijk toezicht, bias-controle, transparantie, dataminimalisatie.
6. Borg de AVG-basis en de transparantie richting werknemers; zie AVG en personeelsgegevens bij AI.
7. Raadpleeg de toezichthouder bij een resterend hoog risico, en herhaal de beoordeling bij wijzigingen.

Eén goed gecombineerd DPIA/FRIA-traject is geen papieren plicht maar de plek waar je de echte risico's van HR-AI op tafel krijgt — vóórdat het systeem in productie gaat.